🚨 Друзья, кто запускает скрипты для количественной торговли и AI-торговых ботов: проверьте сегодня вечером этот Python-пакет
Снова проблемы с LiteLLM — популярной Python-библиотекой для разработки AI-приложений. Это уже вторая атака на цепочку поставок, с которой она столкнулась в этом году.
🔹 Проблема затронула версию 1.107.0 на PyPI: вредоносный код был спрятан в готовом установочном пакете
🔹 Он крадёт SSH-ключи, облачные учётные данные AWS/Azure/GCP, сохранённые в браузере пароли, а также настройки AI-инструментов
🔹 Вредоносный код запускается через скрытый файл при каждом запуске процесса Python — даже если вы не импортировали этот пакет
🔹 Под угрозой macOS, Linux и Windows
🔹 Команды безопасности JFrog, Socket, SafeDep и другие уже предупредили об угрозе, а PyPI удалил эту версию
Эту библиотеку скачивают более 92 миллионов раз в месяц, так что масштаб воздействия немалый.
Почему это важно для крипторынка? Многие запускают торговых ботов, количественные стратегии и скрипты для мониторинга блокчейна в среде Python. На той же машине нередко хранятся API-ключи бирж, ключи для входа на серверы и разные пароли в браузере. Такие атаки крадут «ключи» — вам даже не нужно переходить по фишинговой ссылке.
Рекомендация разработчиков однозначна: зафиксируйте версию на чистой 1.106.2, смените все учётные данные и тщательно удалите заражённые файлы.
Добавлю три правила, которых придерживаюсь сам:
1️⃣ Для API-ключей бирж включайте только право на торговлю, без вывода средств, и привязывайте их к списку разрешённых IP-адресов
2️⃣ Используйте разные компьютеры для запуска скриптов и хранения кошельков
3️⃣ Фиксируйте версии зависимостей и не обновляйте всё до последней версии одним нажатием
Честно говоря, самый большой риск в крипте порой не на графике, а в том, что установлено на вашем компьютере.
Вы регулярно проверяете зависимости своих скриптов или после установки больше о них не вспоминаете? Давайте обсудим в комментариях 👇
#供应链攻击 #API安全 #量化交易 #加密安全
Снова проблемы с LiteLLM — популярной Python-библиотекой для разработки AI-приложений. Это уже вторая атака на цепочку поставок, с которой она столкнулась в этом году.
🔹 Проблема затронула версию 1.107.0 на PyPI: вредоносный код был спрятан в готовом установочном пакете
🔹 Он крадёт SSH-ключи, облачные учётные данные AWS/Azure/GCP, сохранённые в браузере пароли, а также настройки AI-инструментов
🔹 Вредоносный код запускается через скрытый файл при каждом запуске процесса Python — даже если вы не импортировали этот пакет
🔹 Под угрозой macOS, Linux и Windows
🔹 Команды безопасности JFrog, Socket, SafeDep и другие уже предупредили об угрозе, а PyPI удалил эту версию
Эту библиотеку скачивают более 92 миллионов раз в месяц, так что масштаб воздействия немалый.
Почему это важно для крипторынка? Многие запускают торговых ботов, количественные стратегии и скрипты для мониторинга блокчейна в среде Python. На той же машине нередко хранятся API-ключи бирж, ключи для входа на серверы и разные пароли в браузере. Такие атаки крадут «ключи» — вам даже не нужно переходить по фишинговой ссылке.
Рекомендация разработчиков однозначна: зафиксируйте версию на чистой 1.106.2, смените все учётные данные и тщательно удалите заражённые файлы.
Добавлю три правила, которых придерживаюсь сам:
1️⃣ Для API-ключей бирж включайте только право на торговлю, без вывода средств, и привязывайте их к списку разрешённых IP-адресов
2️⃣ Используйте разные компьютеры для запуска скриптов и хранения кошельков
3️⃣ Фиксируйте версии зависимостей и не обновляйте всё до последней версии одним нажатием
Честно говоря, самый большой риск в крипте порой не на графике, а в том, что установлено на вашем компьютере.
Вы регулярно проверяете зависимости своих скриптов или после установки больше о них не вспоминаете? Давайте обсудим в комментариях 👇
#供应链攻击 #API安全 #量化交易 #加密安全